ISO 27000 : vue d'ensemble 2026 et cartographie des normes

La norme ISO 27000, de son nom complet ISO/IEC 27000, est le document d'entrée de la famille de normes consacrée aux systèmes de management de la sécurité de l'information (SMSI). Elle n'impose aucune exigence : elle explique les concepts, les principes et la façon dont les normes de la série s'articulent autour de l'ISO/IEC 27001, la norme d'exigences sur laquelle porte la certification d'un SMSI. Sa sixième édition, l'ISO/IEC 27000:2026, publiée en juillet 2026, change de nature : elle abandonne son rôle de glossaire officiel pour devenir une vue d'ensemble conceptuelle et une cartographie de dix-huit documents répartis en six catégories. Pour un RSSI, un responsable conformité ou un auditeur interne, cette évolution modifie la manière de citer les définitions dans la documentation et de choisir les normes complémentaires. Ce guide présente les nouveautés, les concepts clés, la cartographie, les liens avec NIS 2 et l'accès au PDF officiel, en complément de notre guide complet de la norme ISO 27001.

Norme ISO 27000 : définition, statut et périmètre

L'ISO/IEC 27000 est élaborée par le sous-comité ISO/IEC JTC 1/SC 27, chargé de la sécurité de l'information, de la cybersécurité et de la protection de la vie privée. Elle s'adresse à toute organisation, quels que soient sa taille, son secteur ou son statut, qui souhaite comprendre le fonctionnement d'un SMSI avant de s'engager dans un projet de mise en œuvre ou de certification selon l'ISO/IEC 27001.

Sur sa fiche officielle de l'ISO/IEC 27000:2026, l'ISO indique clairement qu'il ne s'agit pas d'une norme d'exigences : les exigences applicables à un SMSI figurent dans l'ISO/IEC 27001. Le titre français de la sixième édition est « Sécurité de l'information, cybersécurité et protection de la vie privée — Systèmes de management de la sécurité de l'information — Vue d'ensemble ».

L'histoire du document explique son rôle. La première édition, publiée en 2009 sous le titre « Vue d'ensemble et vocabulaire », devait à la fois introduire les normes gravitant autour de l'ISO/IEC 27001 et harmoniser leur terminologie. Selon le SC 27 Journal 2026, numéro 2, elle était, comme l'ISO 9000, mise gratuitement à disposition, puis révisée en 2012, 2014, 2016 et 2018 avant la refonte de 2026.

Un « document horizontal » : qu'est-ce que cela implique ?

L'avant-propos de l'édition 2026 précise qu'elle a reçu le statut de document horizontal au sens des Directives ISO/IEC, partie 1. Concrètement, elle expose des notions transverses, comme la confidentialité, l'intégrité, la disponibilité ou le système de management, sur lesquelles les autres documents de la famille s'appuient. Elle ne fixe pas de méthode, mais elle fournit le cadre de lecture commun aux implémenteurs, aux auditeurs et aux décideurs.

Ce que change l'édition ISO/IEC 27000:2026

La sixième édition a été publiée le 3 juillet 2026, après plus de quatre années de travaux, et annule l'édition de 2018, désormais retirée. La reprise européenne EN ISO/IEC 27000:2026 a suivi le 15 juillet 2026, selon les analyses publiées par plusieurs praticiens et organismes de certification. L'avant-propos de la norme résume les principales modifications apportées au document :

• le titre a été modifié et la mention « vocabulaire » a disparu ;
• la structure a été revue pour souligner le rôle principal du document : donner une vue d'ensemble des normes liées au SMSI et expliquer leurs relations ;
• un texte présentant les concepts et principes de la sécurité de l'information et des SMSI a été ajouté ;
• l'article 3 ne contient plus que les définitions des termes utilisés pour exposer ces concepts ;
• le document n'est plus un document de terminologie pour l'ensemble de la famille.

Ce qui ne change pas compte autant que les nouveautés. L'ISO/IEC 27001:2022, complétée par son amendement de 2024, demeure le référentiel de certification. Les certificats en cours et les programmes d'audit ne sont pas affectés, et aucune période de transition n'est prévue, puisque la norme d'exigences elle-même n'a pas été révisée. L'ISO/IEC 27000:2026 ne crée, ne retire et ne réécrit aucune mesure de sécurité.

Où trouver les définitions maintenant que l'ISO 27000 n'est plus un glossaire ?

Le changement de doctrine remonte à la révision de l'ISO/IEC 27002 publiée en 2022. Le SC 27 a alors estimé plus pratique que chaque norme contienne la définition de tous les termes qu'elle emploie. Les termes du risque relèvent ainsi de l'ISO/IEC 27005, tandis que ceux des mesures de sécurité relèvent de l'ISO/IEC 27002. L'ISO/IEC 27000 ne sert donc plus de référence normative centrale pour le vocabulaire.

L'édition 2026 conserve néanmoins une douzaine de définitions, parmi lesquelles la confidentialité, l'intégrité, la disponibilité et la sécurité de l'information elle-même. Pour tous les autres termes, la référence pratique devient la plateforme de consultation en ligne de l'ISO (Online Browsing Platform, OBP), qui permet de rechercher une définition et d'identifier la norme source, ainsi que l'Electropedia, la base terminologique en ligne de l'IEC.

Cette approche présente un avantage : un terme peut évoluer lorsque la norme qui l'emploie est révisée, sans attendre une refonte complète du document de tête. Elle impose en contrepartie une discipline documentaire. Une définition doit toujours être citée avec sa norme source et son édition, faute de quoi deux équipes peuvent utiliser le même mot avec deux sens différents.

Impact sur votre documentation SMSI

Politiques de sécurité, glossaires, annexes contractuelles et supports de sensibilisation contiennent fréquemment la formule « termes tels que définis dans l'ISO/IEC 27000 ». Ce renvoi pointe désormais vers un document qui ne porte plus la plupart de ces termes. Il ne s'agit pas d'une non-conformité urgente, mais d'une correction à intégrer à la prochaine revue, dans le cadre de votre procédure de gestion documentaire du SMSI (clause 7.5).

Les concepts et principes clés exposés par la norme

L'article 4 de l'ISO/IEC 27000:2026 part du besoin de sécurité dans un monde interconnecté, clarifie les notions d'information et de sécurité de l'information, puis décrit leur interaction avec des risques en évolution constante. Il présente ensuite le SMSI sous l'angle de ses objectifs, de son périmètre et de son approche, avant d'exposer les principes de mise en œuvre et l'intégration des exigences de sécurité dans les processus métier.

Confidentialité, intégrité, disponibilité et propriétés associées

La confidentialité désigne la propriété selon laquelle une information n'est ni rendue accessible ni divulguée à des personnes, entités ou processus non autorisés. L'intégrité correspond à l'exactitude et à la complétude de l'information, et la disponibilité à son accessibilité et à son utilisabilité à la demande d'une entité autorisée. Ces trois propriétés forment le socle de la sécurité de l'information.

D'autres propriétés peuvent compléter cette triade selon le contexte : l'authenticité, l'imputabilité, la non-répudiation ou la fiabilité. Un service de signature électronique privilégiera par exemple la non-répudiation, tandis qu'un système industriel donnera la priorité à la disponibilité et à l'intégrité des commandes. Le SMSI doit expliciter ces priorités, car elles orientent l'appréciation des risques et le choix des mesures.

Risques, mesures de sécurité et plan de traitement

Selon une analyse de l'article 4.1.5 publiée par GRCLab, la norme classe les mesures en quatre thèmes, organisationnel, humain, physique et technologique, et en trois natures : préventive, détective et corrective. Elle insiste sur leur fonctionnement conjoint au sein du plan de traitement des risques : un équilibre entre ces trois natures rend le dispositif résistant à la défaillance d'une mesure isolée.

Cette lecture dépasse le plan de traitement vu comme un simple plan projet. Une fois les mesures déployées, le plan devient la description de leur articulation : quelles mesures réduisent la vraisemblance, lesquelles détectent ce qui échappe à la prévention, lesquelles limitent les conséquences. Une mesure préventive unique, sans détection en relais, constitue un point de fragilité, même si elle est parfaitement mise en œuvre.

Les parties intéressées, adversaires compris

L'édition 2026 élargit explicitement la notion de partie intéressée. Aux clients, fournisseurs, partenaires, salariés, actionnaires, administrations et régulateurs s'ajoutent les concurrents et les criminels, dont les activités constituent précisément ce contre quoi les mesures du SMSI doivent protéger l'organisation. Pour l'analyse du contexte et la définition du document de périmètre du SMSI (clause 4.3), cela implique d'intégrer une vision réaliste de la menace.

Les principes de mise en œuvre rappellent enfin que la sécurité ne se délègue pas entièrement à la DSI. L'engagement de la direction, l'attribution claire des rôles et l'intégration de la sécurité dans les processus métier conditionnent l'efficacité du système. Une matrice RACI des rôles et responsabilités du SMSI aide à rendre ces responsabilités visibles et auditables.

Cartographie de la famille ISO 27000 : 18 documents, 6 catégories

L'article 5 de l'ISO/IEC 27000:2026 introduit une taxonomie des documents liés au SMSI. Elle regroupe dix-huit normes publiées par le groupe de travail 1 du SC 27 en six catégories, différentes du classement des éditions précédentes, qui distinguait normes d'exigences, lignes directrices générales et lignes directrices sectorielles. Chaque norme fait l'objet d'un court paragraphe décrivant son domaine d'application.

Lire la cartographie : mesures candidates, attributs et normes absentes

L'expression « mesures de sécurité candidates nécessaires » mérite attention. Le terme « candidates » signifie que ces catalogues proposent des options : c'est la direction qui détermine ce qui est nécessaire, au regard de l'appréciation des risques et de l'appétence au risque. Les normes sectorielles comme l'ISO/IEC 27017 pour le cloud, révisée en 2026, ou l'ISO/IEC 27019 pour l'énergie, n'imposent donc pas davantage de mesures obligatoires.

La catégorie consacrée aux attributs accueille l'ISO/IEC 27028, qui donne des lignes directrices sur l'utilisation des attributs des mesures de sécurité. Ce document était en phase finale d'approbation et de publication au second semestre 2026 : vérifiez son statut sur le site de l'ISO avant de le citer comme norme publiée dans vos procédures.

Les normes qui n'apparaissent pas dans la cartographie

Plusieurs normes connues ne figurent pas parmi les dix-huit documents. L'ISO/IEC 27009, l'ISO/IEC 27018, consacrée aux données personnelles dans le cloud public, et l'ISO 27799, dédiée à la santé, ne sont plus comptées dans la famille, sans être retirées pour autant. Le SC 27 explique que la cartographie se limite aux documents de son groupe de travail 1, ce qui exclut par exemple l'ISO/IEC 27018 et l'ISO/IEC 27032.

L'ISO/IEC 27701:2025, publiée en octobre 2025, est désormais une norme autonome de système de management de la protection de la vie privée, que l'on peut appliquer sans SMSI préexistant. Elle fera l'objet d'un article dédié. Retenez simplement que l'absence d'une norme dans la cartographie ne la rend pas obsolète : elle relève d'un autre périmètre de travail du comité.

ISO 27000, ISO 27001 et ISO 27002 : qui fait quoi ?

Les trois numéros sont souvent confondus, y compris dans des appels d'offres. L'ISO/IEC 27000 explique les concepts et dresse la carte. L'ISO/IEC 27001 spécifie les exigences d'un SMSI dans ses articles 4 à 10 et fournit, en annexe A, une liste de mesures de référence. L'ISO/IEC 27002 apporte des recommandations détaillées sur ces mesures ; son contenu est traité dans un article distinct et n'est pas développé ici.

L'apport le plus concret de l'édition 2026 concerne la lecture de l'annexe A. L'organisation détermine d'abord, à partir du traitement de ses risques, les mesures dont elle a besoin. Elle peut les concevoir elle-même ou les puiser dans n'importe quelle source. Elle les compare ensuite à l'annexe A pour vérifier qu'aucune mesure nécessaire n'a été omise : l'annexe A sert de contrôle d'exhaustivité, pas de catalogue à cocher.

L'erreur classique du « copier-coller » de l'annexe A

Beaucoup de déclarations d'applicabilité reprennent les 93 mesures de l'annexe A avec une colonne oui ou non, puis rattachent les risques a posteriori. Un SMSI construit ainsi peut obtenir sa certification, mais il présente deux faiblesses : des mesures qui ne couvrent aucun risque réel et des risques dépourvus de mesure, parce que l'annexe ne prévoit rien pour eux. Notre guide d'implémentation pas à pas d'un SMSI ISO 27001 détaille l'ordre logique à suivre.

Cette précision ne crée aucune exigence nouvelle : elle reformule ce que l'article 6.1.3 de l'ISO/IEC 27001:2022 prévoit déjà. Elle donne toutefois un argument clair aux responsables de SMSI face à des interlocuteurs qui assimilent conformité et cochage exhaustif de l'annexe. Les auditeurs de certification disposent de la même vue d'ensemble et attendent une démarche fondée sur les risques.

Utiliser la norme ISO 27000 pour lancer ou piloter un SMSI

Lire l'ISO/IEC 27000 avant l'ISO/IEC 27001 évite de nombreuses erreurs de cadrage, en particulier dans les organisations qui découvrent les systèmes de management. Le document est court et peut être lu en une demi-journée, y compris par des membres du comité de direction. Voici un enchaînement pratique pour en tirer parti au démarrage d'un projet :

1. Faites lire les articles 4 et 5 de l'ISO/IEC 27000 au sponsor et au futur responsable du SMSI pour partager les mêmes concepts.
2. Rédigez un glossaire interne court, chaque terme renvoyant à sa norme source et à son édition.
3. Cadrez le contexte, les parties intéressées et le périmètre selon les articles 4 et 5 de l'ISO/IEC 27001.
4. Appréciez les risques avec une méthode cohérente avec l'ISO/IEC 27005, puis déterminez les mesures nécessaires.
5. Comparez ces mesures à l'annexe A et rédigez la déclaration d'applicabilité.
6. Sélectionnez les normes complémentaires dans la cartographie : 27004 pour les indicateurs, 27007 pour l'audit, normes sectorielles si nécessaire.

Le vocabulaire partagé est aussi un sujet de communication interne. Les mêmes mots, « risque », « mesure », « incident » ou « actif », n'ont pas toujours le même sens pour la DSI, les juristes et les métiers. Un plan de communication SMSI (clause 7.4) permet de diffuser le glossaire et les messages clés au bon public, au bon moment.

Mettre à jour son référentiel documentaire après l'édition 2026

La mise à jour documentaire est le seul chantier réellement induit par la nouvelle édition. Il s'agit de repérer les renvois à l'ISO/IEC 27000, de qualifier leur usage, puis de décider pour chacun d'une correction proportionnée. Sur un référentiel exporté en texte ou en Markdown, une recherche par expression régulière permet de produire un inventaire exhaustif en quelques minutes, sans outil spécialisé.

rg -n -i --type-add 'doc:*.{md,txt,html}' -t doc \
  'iso(/iec)?[ -]?27000(:20(09|12|14|16|18|26))?' ./referentiel-smsi \
  | tee inventaire-renvois-iso27000.txt

rg -n -i -t md "(au sens de|d[ée]finis? (dans|par|selon)).{0,60}27000" ./referentiel-smsi

Get-ChildItem .\referentiel-smsi -Recurse -Include *.md,*.txt,*.html |
  Select-String -Pattern 'ISO(/IEC)?[ -]?27000' |
  Select-Object Path, LineNumber, Line |
  Export-Csv .\inventaire-renvois-iso27000.csv -NoTypeInformation -Encoding UTF8

Les fichiers Word ou PDF doivent être exportés en texte au préalable, car ces formats compressés ne sont pas lus directement par une recherche textuelle. Une fois l'inventaire obtenu, classez chaque occurrence selon son usage, puis appliquez la décision adaptée :

• renvoi pour une définition : citez la norme qui emploie réellement le terme, par exemple l'ISO/IEC 27005 pour le vocabulaire du risque, ou définissez le terme localement ;
• référence dans un contrat ou une annexe de sécurité : faites valider la nouvelle formulation par le service juridique avant la prochaine révision du contrat ;
• support de formation : remplacez les diapositives « vocabulaire ISO 27000 » par une présentation des concepts et de la cartographie ;
• mention de la famille de normes : conservez-la, en citant l'édition 2026 et ses six catégories.

Retour terrain : Cas typique rencontré en mission — l'inventaire des renvois produit par ces recherches fait apparaître, dans le référentiel d'une ETI, plusieurs définitions concurrentes d'« incident de sécurité » entre la politique, les contrats fournisseurs et les supports de sensibilisation. Les obligations de notification des prestataires deviennent alors contestables. Correction retenue : un glossaire interne unique, validé par le service juridique, auquel chaque document renvoie lors de sa prochaine révision.

ISO 27000, NIS 2 et réglementation européenne

La directive (UE) 2022/2555, dite directive NIS 2, impose aux entités essentielles et importantes des mesures de gestion des risques de cybersécurité. Son article 21 demande que ces mesures tiennent compte de l'état de l'art et, le cas échéant, des normes européennes et internationales pertinentes. La famille ISO 27000 fait partie des références naturellement mobilisées pour structurer cette démarche.

Pour plusieurs catégories de fournisseurs numériques, les exigences sont précisées au niveau européen par le règlement d'exécution (UE) 2024/2690 du 17 octobre 2024. L'ENISA a publié en juin 2025 un guide technique de mise en œuvre de NIS 2 qui propose des exemples de preuves et des correspondances entre ces exigences et des référentiels reconnus. Une correspondance facilite l'analyse d'écart, mais elle ne vaut pas présomption de conformité.

Pour les entités financières, NIS 2 désigne le règlement (UE) 2022/2554, dit DORA, comme acte sectoriel applicable à la gestion du risque lié aux technologies de l'information et de la communication. Dans ce contexte, l'ISO/IEC 27000 n'apporte pas d'exigence supplémentaire. Son intérêt est ailleurs : fournir un langage commun aux équipes juridiques, risques et techniques qui doivent rapprocher un texte réglementaire et un SMSI.

Les secteurs industriels et énergétiques trouvent dans la cartographie l'ISO/IEC 27019, consacrée aux mesures de sécurité des systèmes de contrôle de procédés du secteur de l'énergie. Pour l'articulation entre SMSI, informatique de gestion et environnements opérationnels, consultez notre guide de mise en œuvre d'un SMSI ISO 27001 en milieu industriel.

Certification ISO 27001 : chiffres clés 2025-2026

La norme ISO 27000 ne donne lieu à aucune certification, mais son dynamisme se lit dans l'adoption de l'ISO/IEC 27001, qui forme le cœur de la famille. Les résultats de l'ISO Survey, désormais compilés à partir de la base IAF CertSearch des certifications accréditées, donnent une mesure de cette adoption à l'échelle mondiale.

Ces chiffres doivent être lus avec prudence. L'enquête compte des certificats et non des organisations, ne retient que les certificats accrédités et a vu son périmètre de collecte évoluer entre deux éditions, notamment pour le Royaume-Uni et l'Allemagne. Une partie de la hausse traduit donc une meilleure couverture statistique plutôt qu'un afflux équivalent de nouvelles certifications.

Ils rappellent aussi un point pratique : depuis le 31 octobre 2025, les certificats délivrés selon l'édition 2013 de l'ISO/IEC 27001 ont expiré ou ont été retirés. Un certificat présenté par un fournisseur doit donc viser l'ISO/IEC 27001:2022. Un document intitulé « certificat ISO 27000 » doit, à l'inverse, éveiller la méfiance : aucune certification ISO 27000 n'existe.

L'ampleur du catalogue justifie enfin l'existence d'une carte. Selon le SC 27 Journal, le sous-comité totalisait en septembre 2026 256 normes publiées et 73 en cours d'élaboration, de la cryptographie à l'évaluation des produits. La cartographie de l'ISO/IEC 27000 n'en retient que dix-huit, celles qui concernent directement le SMSI.

Idées reçues et erreurs fréquentes sur l'ISO 27000

La refonte de 2026 n'a pas encore été intégrée par tous les acteurs du marché. Plusieurs contenus en ligne continuent de présenter la norme comme le dictionnaire officiel de la sécurité de l'information. Voici les confusions observées le plus souvent, avec la position correcte au regard de la sixième édition :

• « L'ISO 27000 définit tout le vocabulaire de la famille » : faux depuis 2026, chaque norme définit ses propres termes.
• « Il faut migrer sa certification vers l'ISO 27000:2026 » : faux, la certification porte sur l'ISO/IEC 27001 et aucune transition n'est requise.
• « Les normes absentes de la cartographie sont retirées » : faux, l'ISO/IEC 27018 ou l'ISO 27799 restent applicables.
• « Les mesures sectorielles sont obligatoires dans leur secteur » : faux, elles restent des mesures candidates à retenir selon les risques.
• « L'annexe A doit être appliquée intégralement » : faux, les exclusions justifiées figurent dans la déclaration d'applicabilité.

Retour terrain : Cas typique rencontré en mission — un cahier des charges impose aux candidats une « certification » à la norme de vue d'ensemble, qui ne contient pourtant aucune exigence certifiable. Des prestataires sérieux risquent alors d'être écartés ou de répondre à côté. Avec l'acheteur, l'exigence est reformulée : certificat du SMSI délivré par un organisme accrédité, périmètre couvrant explicitement la prestation, et déclaration d'applicabilité communicable sur demande.

Où obtenir le PDF de l'ISO 27000:2026 en toute sécurité ?

La version officielle s'obtient sur la boutique en ligne de l'ISO, en anglais et en français, aux formats PDF et ePub. Lors de la rédaction de ce guide, en novembre 2026, la fiche de l'ISO/IEC 27000:2026 affichait un prix de 0 CHF, et le SC 27 indique que l'édition est proposée pour une mise à disposition gratuite, comme les précédentes. Vérifiez ce point au moment de votre téléchargement.

Méfiez-vous des fichiers PDF diffusés sur des sites tiers. Ils correspondent souvent à l'édition 2018 retirée, parfois présentée à tort comme la version 2026, et un PDF de provenance inconnue peut contenir du contenu malveillant. Pour un usage professionnel, téléchargez uniquement depuis la source officielle et contrôlez la mention « Édition 6 » ainsi que le titre « Vue d'ensemble », sans « vocabulaire ».

Pour les organisations qui travaillent avec des références européennes, la norme a été reprise par le CEN sous la référence EN ISO/IEC 27000:2026. En France, la diffusion des normes européennes reprises dans la collection nationale relève d'AFNOR. Conservez la preuve d'obtention dans votre système documentaire : elle atteste l'origine du texte et l'édition utilisée par vos équipes.

À lire aussi : le catalogue de mesures ISO 27002 ; les lignes directrices d'audit ISO 19011 ; l'extension vie privée ISO 27701.

Questions fréquentes

Conclusion

En 2026, la norme ISO 27000 change de fonction sans perdre son importance : elle quitte le rôle de glossaire pour devenir une introduction conceptuelle et une carte de dix-huit documents, l'ISO/IEC 27001:2022 restant le référentiel de certification. Corrigez vos renvois documentaires, lisez l'annexe A comme un contrôle d'exhaustivité et servez-vous de la cartographie pour choisir les normes utiles. Pour replacer ces éléments dans une démarche complète, poursuivez avec notre guide complet de l'ISO 27001.